AI Act e decreto legislativo italiano: il via libera del Garante Privacy tra governance, vigilanza e rafforzamento delle garanzie fondamentali

L’attuazione dell’AI Act rappresenta uno dei passaggi più significativi nel processo di regolamentazione dell’intelligenza artificiale nell’ordinamento italiano ed europeo. Il recente parere favorevole espresso dal Garante per la protezione dei dati personali sullo schema di decreto legislativo di adeguamento nazionale segna un momento di particolare rilevanza, poiché conferma la conformità dell’impianto normativo ai principi europei, subordinandola tuttavia all’introduzione di ulteriori garanzie volte a rafforzare la tutela dei diritti fondamentali, della privacy e della dignità della persona.

Il Garante Privacy approva lo schema di decreto AI Act, ma chiede maggiori tutele per diritti fondamentali e dati biometrici

L’intervento dell’Autorità evidenzia come la disciplina dell’intelligenza artificiale non possa limitarsi a favorire l’innovazione tecnologica, ma debba garantire un equilibrio tra sviluppo economico, sicurezza pubblica e protezione dei diritti costituzionalmente garantiti.

Il sistema nazionale di governance dell’intelligenza artificiale

Lo schema di decreto legislativo istituisce il sistema italiano di governance dell’intelligenza artificiale, individuando le autorità competenti per la vigilanza e l’applicazione delle disposizioni europee.

Tra gli aspetti più significativi emerge la designazione del Garante Privacy quale Autorità di vigilanza del mercato per i sistemi di IA ad alto rischio utilizzati nei settori maggiormente incidenti sui diritti fondamentali, tra i quali figurano:

• amministrazione della giustizia;
• attività di polizia e contrasto alla criminalità;
• immigrazione;
• gestione delle frontiere;
• processi democratici;
• ulteriori ambiti caratterizzati da elevata incidenza sui diritti della persona.

La scelta appare coerente con la centralità attribuita dal Regolamento (UE) 2024/1689 (AI Act) alla protezione dei dati personali quale presupposto imprescindibile per uno sviluppo affidabile dell’intelligenza artificiale.

Il ruolo del Garante Privacy nella vigilanza sui sistemi di IA ad alto rischio

Pur esprimendo parere favorevole, il Garante ha formulato una serie di osservazioni destinate a rafforzare l’efficacia del nuovo sistema.

In particolare, l’Autorità richiede:

• il riconoscimento del potere di adottare linee guida, raccomandazioni e buone pratiche, analogamente alle altre autorità competenti;
• una disciplina più chiara delle sanzioni amministrative di propria competenza secondo il Codice Privacy;
• il coinvolgimento nei lavori dello Spazio di sperimentazione italiano per l’Intelligenza Artificiale (AI Regulatory Sandbox);
• una precisa definizione del proprio ruolo nelle procedure di valutazione della conformità dei sistemi di IA ad alto rischio.

Si tratta di richieste pienamente coerenti con l’impostazione dell’AI Act, che attribuisce un ruolo essenziale alle autorità nazionali di controllo nel garantire un’applicazione uniforme della disciplina europea.

IA e rapporti di lavoro: stop alle decisioni esclusivamente automatizzate

Particolarmente significativa appare la proposta del Garante di estendere il divieto di decisioni fondate esclusivamente su sistemi automatizzati anche alle valutazioni che incidono sul rapporto di lavoro.

L’Autorità ritiene infatti necessario evitare che algoritmi possano determinare autonomamente:

• valutazioni delle prestazioni;
• attribuzione di premi;
• progressioni di carriera;
• altre decisioni suscettibili di incidere in maniera significativa sulla posizione lavorativa del dipendente.

La proposta rafforza il principio della supervisione umana, già previsto dall’AI Act e dal Regolamento (UE) 2016/679 (GDPR), riaffermando che la decisione finale deve rimanere riconducibile ad una valutazione umana effettiva e non meramente formale.

L’intelligenza artificiale nelle Forze di polizia: il nodo dei dati biometrici

Uno degli aspetti maggiormente delicati affrontati dal parere riguarda l’utilizzo dell’intelligenza artificiale da parte delle Forze di polizia.

L’Autorità evidenzia come il trattamento dei dati biometrici costituisca una delle attività più invasive per la sfera privata dell’individuo, imponendo pertanto un rigoroso rispetto dei principi di:

• necessità;
• proporzionalità;
• minimizzazione;
• limitazione delle finalità;
• trasparenza;
• controllo umano.

Secondo il Garante, il trattamento automatizzato e generalizzato dei dati biometrici delle persone che accedono a luoghi o eventi pubblici non risulta compatibile con l’AI Act.

Il riconoscimento facciale ex post è infatti consentito esclusivamente per ricerche mirate e specificamente autorizzate, mentre non appare conforme al diritto europeo una raccolta preventiva e indiscriminata dei dati biometrici dell’intera popolazione.

Il divieto di banche dati ottenute mediante scraping indiscriminato

Di particolare rilievo è la richiesta del Garante di introdurre nel nuovo articolo 359-ter del codice di procedura penale un espresso divieto di utilizzare banche dati biometriche costruite attraverso tecniche di scraping indiscriminato.

La questione assume enorme importanza pratica.

Negli ultimi anni numerosi sistemi di riconoscimento facciale sono stati addestrati utilizzando immagini reperite automaticamente sul web, spesso senza il consenso degli interessati e in violazione della normativa europea sulla protezione dei dati.

Il Garante ritiene che tali archivi non possano costituire una base lecita per attività investigative o di identificazione personale.

La proposta appare perfettamente coerente con i principi europei in materia di qualità dei dati, liceità del trattamento e tutela dei diritti fondamentali.

Supervisione umana e sperimentazione dell’intelligenza artificiale

Ulteriori osservazioni riguardano:

• la necessità di definire con precisione il concetto di supervisione umana;
• la ripartizione delle responsabilità nei progetti di ricerca e sperimentazione;
• il coinvolgimento del Garante nei sandbox normativi che comportino trattamenti di dati personali;
• il rafforzamento delle garanzie sulla qualità delle banche dati biometriche.

Tali richieste confermano come il legislatore europeo abbia inteso costruire un modello di “human centered AI”, nel quale la tecnologia rimane sempre subordinata al controllo dell’uomo.

Le nuove competenze richiedono adeguate risorse

Il Garante richiama infine l’attenzione sulla necessità di adeguare le proprie risorse economiche, organizzative e professionali.

L’ampliamento delle competenze derivante dall’AI Act comporterà infatti attività di vigilanza estremamente complesse sotto il profilo tecnico e giuridico, imponendo un significativo rafforzamento delle strutture dell’Autorità.

Senza adeguate risorse finanziarie il sistema di controllo rischierebbe infatti di risultare inefficace proprio nei settori maggiormente sensibili per la tutela dei diritti fondamentali.

Profili giuridici e prospettive future

L’attuazione italiana dell’AI Act rappresenta un passaggio storico nella costruzione di una disciplina organica dell’intelligenza artificiale.

Il parere favorevole del Garante conferma la solidità dell’impianto normativo, ma evidenzia altresì la necessità di rafforzare i presidi di legalità nei confronti delle applicazioni più invasive della tecnologia.

Particolare attenzione dovrà essere dedicata ai sistemi di IA ad alto rischio, al trattamento dei dati biometrici, alla supervisione umana delle decisioni automatizzate, alla trasparenza algoritmica e alla responsabilità delle amministrazioni pubbliche e degli operatori privati.

Il modello delineato dal legislatore europeo pone al centro la persona, affermando che l’innovazione tecnologica deve svilupparsi nel pieno rispetto della dignità umana, della riservatezza, della non discriminazione e dello Stato di diritto.

Le competenze dello Studio Legale Bonanni Saraceno

Lo Studio Legale Bonanni Saraceno offre assistenza altamente qualificata nell’ambito della regolamentazione dell’intelligenza artificiale, della protezione dei dati personali e della compliance normativa nazionale ed europea. L’attività professionale comprende consulenza in materia di AI Act, GDPR, responsabilità civile derivante dall’impiego di sistemi di intelligenza artificiale, governance algoritmica, valutazioni d’impatto (DPIA), utilizzo di sistemi di IA ad alto rischio, tutela dei diritti fondamentali, cybersecurity e protezione dei dati biometrici. Lo Studio assiste imprese, pubbliche amministrazioni, enti del terzo settore e professionisti nella predisposizione di modelli organizzativi conformi alla normativa europea, nella gestione del contenzioso, nelle attività ispettive delle Autorità indipendenti e nell’implementazione di sistemi di intelligenza artificiale pienamente rispettosi dei principi di legalità, trasparenza, proporzionalità e accountability, offrendo un approccio multidisciplinare che coniuga competenze giuridiche, tecnologiche e di risk management.